Keystone报告网站客户数据泄露，称私钥未受影响

商业数据事件

Keystone 宣布，于 10 月 20 日检测到的未经授权访问其网站的行为暴露了客户数据。Crypto Briefing 报道称，在验证与 Shopify 的接口活动后，该公司于 10 月 23 日确认了这一情况。涉及的信息包括姓名、联系方式、配送地址和订单详情。描述的范围是网站的商业数据范围。在没有证据的情况下，不得将其扩展到制造商的所有设备或市场上的所有硬件钱包。

根据 Keystone 的说法，银行数据、钱包密码、私钥和恢复短语未受影响。这一保证应归因于公司，公司表示正在继续调查。订单数据库和离线签名设备履行不同的功能。第一个数据库的泄露并不证明从第二个数据库中提取了密钥。然而，即使客户的签名手段未直接受到影响，这也可能使客户面临其他风险。

对欺诈者有用的信息

客户姓名、购买的产品和地址可以使欺诈性信息更具可信度。恶意发件人可以假装了解订单，并提供帮助、退款或设备更换。准确的细节会给一个虚假的请求带来合法的表象。Keystone 特别警告了这种冒充风险。因此，信息中包含真实信息并不证明其来自制造商或授权方。

恢复短语用于恢复与钱包相关的访问权限。将其提供给第三方可以使其具备转移相关资产的能力。验证订单号或配送地址并不需要恢复短语。同样，所谓的支持操作可能会要求进行签名，其后果必须被理解。商业数据的保护与转账授权的保护是两个互补的主题，泄露通知不应因此将秘密交给意外的发件人。

调查和已宣布的通知

Keystone 声称已阻止访问，修复了漏洞，并开始通知受影响的客户。制造商计划发布更详细的报告。这些公告描述了其已宣布的措施；它们并不构成证明所有后续欺诈风险已被排除的证据。第三方已获取的信息在入口点修复后可能继续传播。因此，对漏洞的技术处理和针对性信息的预防需要在不同时间采取不同的行动。

该事件提醒了硬件钱包的确切范围：将密钥与某些环境隔离减少了一类风险，但并不能使客户的整个商业关系变得无懈可击。制造商、其服务提供商、电子邮件交换和用户设备构成了其他暴露面。案件的跟进将需要明确涉及的数据和采取的措施。在此阶段，结论仅涉及网站已宣布的泄露以及由此可能产生的网络钓鱼风险，而非 Keystone 所有设备的既定黑客攻击。